限制特定用户访问 KVM 虚拟机

Question 1

KI 明白了。virt-viewer 不与 libvirtd 交互 - 它通过 ssh 连接到主机并设置隧道以允许访问基于 VNC 的虚拟机虚拟显示器（在我的情况下是 127.0.0.1:5903）。除非在 127.0.0.1 上对 VNC 进行防火墙保护，否则很难解决这个问题。否则普通用户通常可以自由地与本地主机建立 TCP 连接。我不知道如何只允许 root 用户，也许有办法。

也许 selinux 可以做到这一点？

Linux：允许/限制用户的 IP 绑定权限

因此最简单的事情就是设置 VNC 密码。您可以在 SSH 中执行诸如限制转发和 X11 转发之类的操作，但这可能不是 100% 安全的，并且可能还会给 root 带来问题。而且用户登录后仍然可以访问 127.0.0.1/vnc。

更新

根据 Mike（其他答案）和 Michael Hampton（评论）的说法，您可以使用 TLS 与 VNC 通信，而不是密码，因此如果密码对您来说不够好，您将获得相当不错的安全性。感谢他们两人，我完全不知道。

http://wiki.libvirt.org/page/VNCTLSSetup

和

https://www.suse.com/documentation/sles11/book_kvm/data/sec_libvirt_connect_remote.html#sec_libvirt_connect_remote_tls

Answer

KI 明白了。virt-viewer 不与 libvirtd 交互 - 它通过 ssh 连接到主机并设置隧道以允许访问基于 VNC 的虚拟机虚拟显示器（在我的情况下是 127.0.0.1:5903）。除非在 127.0.0.1 上对 VNC 进行防火墙保护，否则很难解决这个问题。否则普通用户通常可以自由地与本地主机建立 TCP 连接。我不知道如何只允许 root 用户，也许有办法。

也许 selinux 可以做到这一点？

Linux：允许/限制用户的 IP 绑定权限

因此最简单的事情就是设置 VNC 密码。您可以在 SSH 中执行诸如限制转发和 X11 转发之类的操作，但这可能不是 100% 安全的，并且可能还会给 root 带来问题。而且用户登录后仍然可以访问 127.0.0.1/vnc。

更新

根据 Mike（其他答案）和 Michael Hampton（评论）的说法，您可以使用 TLS 与 VNC 通信，而不是密码，因此如果密码对您来说不够好，您将获得相当不错的安全性。感谢他们两人，我完全不知道。

http://wiki.libvirt.org/page/VNCTLSSetup

和

https://www.suse.com/documentation/sles11/book_kvm/data/sec_libvirt_connect_remote.html#sec_libvirt_connect_remote_tls

Question 2

作为Ryan 的回答上面说，“virt-viewer 不与 libvirtd 交互”。libvirtd 和 VNC（virt-viewer 连接的）完全单独的身份验证方法. VNC 可以使用

单一密码验证
SASL 身份验证
x509 证书
组合证书和前两个证书之一

单一密码

如果使用单个密码，它可以是存储在文件中的全局密码/etc/libvirt/qemu.conf，也可以在 VM 配置中添加特定于 VM 的密码：

<graphics type='vnc' port='-1' autoport='yes' passwd='PASSWORD'/>

注意，这些密码必须以纯文本形式存储。

SASL 身份验证

这允许每个虚拟机使用多个用户名和密码组合。密码也经过哈希处理，而不是以纯文本形式存储的单个密码。有关说明看这里。

x509 证书

这实际上是我相信直接回答了这个问题（但我还没有测试过）。通过这种方式，您可以通过使用存储在服务器上的证书进行身份验证来限制哪些用户可以连接到 VNC 实例。要撤销特定用户或组的权限，只需将系统范围的客户端证书文件的权限设置为该用户不可读。您还可以生成每个用户的证书并撤销访问权限。

不幸的是，设置起来相对困难。首先需要在服务器上创建根 CA，生成 x509 客户端/服务器证书，配置服务器，配置客户端并测试设置，进而限制访问。

Answer

作为Ryan 的回答上面说，“virt-viewer 不与 libvirtd 交互”。libvirtd 和 VNC（virt-viewer 连接的）完全单独的身份验证方法. VNC 可以使用

单一密码验证
SASL 身份验证
x509 证书
组合证书和前两个证书之一

单一密码

如果使用单个密码，它可以是存储在文件中的全局密码/etc/libvirt/qemu.conf，也可以在 VM 配置中添加特定于 VM 的密码：

<graphics type='vnc' port='-1' autoport='yes' passwd='PASSWORD'/>

注意，这些密码必须以纯文本形式存储。

SASL 身份验证

这允许每个虚拟机使用多个用户名和密码组合。密码也经过哈希处理，而不是以纯文本形式存储的单个密码。有关说明看这里。

x509 证书

这实际上是我相信直接回答了这个问题（但我还没有测试过）。通过这种方式，您可以通过使用存储在服务器上的证书进行身份验证来限制哪些用户可以连接到 VNC 实例。要撤销特定用户或组的权限，只需将系统范围的客户端证书文件的权限设置为该用户不可读。您还可以生成每个用户的证书并撤销访问权限。

不幸的是，设置起来相对困难。首先需要在服务器上创建根 CA，生成 x509 客户端/服务器证书，配置服务器，配置客户端并测试设置，进而限制访问。

Question 3

您是否尝试过使用 polkit 来限制用户的访问权限？我也想这样做，所以最终得到了这样的结果：

将虚拟机命名为用户名*虚拟机名称

现在在 polkit 规则文件中编辑规则如下

function myFunction(username, virtualmachine) {
    var arr = virtualmachine.split("*");
    if(arr[0]==username){
        return true;
    }
    else{
        return false;
    }
}
// Allow passwordless connection to qemu:///system
polkit.addRule(function(action, subject) {
    if (action.id == "org.libvirt.unix.manage")
    {
        return polkit.Result.YES;
    }
});
// Give full access to 'vm'
polkit.addRule(function(action, subject) {
    if (action.id.indexOf("org.libvirt.api.domain.") == 0 ) {
        if (action.lookup("connect_driver") == 'QEMU' &&  myFunction(subject.user, action.lookup("domain_name"))) {
            polkit.log("vm=" + action.lookup("domain_name") + "action =>"+myFunction(subject.user, action.lookup("domain_name")));
            polkit.log("subject=" + subject);
            polkit.log("ok");
            return polkit.Result.YES;
        } else {
            return polkit.Result.NO;
        }
    }
});

现在只有相应的用户才能看到虚拟机本身。

享受

Answer

您是否尝试过使用 polkit 来限制用户的访问权限？我也想这样做，所以最终得到了这样的结果：

将虚拟机命名为用户名*虚拟机名称

现在在 polkit 规则文件中编辑规则如下

function myFunction(username, virtualmachine) {
    var arr = virtualmachine.split("*");
    if(arr[0]==username){
        return true;
    }
    else{
        return false;
    }
}
// Allow passwordless connection to qemu:///system
polkit.addRule(function(action, subject) {
    if (action.id == "org.libvirt.unix.manage")
    {
        return polkit.Result.YES;
    }
});
// Give full access to 'vm'
polkit.addRule(function(action, subject) {
    if (action.id.indexOf("org.libvirt.api.domain.") == 0 ) {
        if (action.lookup("connect_driver") == 'QEMU' &&  myFunction(subject.user, action.lookup("domain_name"))) {
            polkit.log("vm=" + action.lookup("domain_name") + "action =>"+myFunction(subject.user, action.lookup("domain_name")));
            polkit.log("subject=" + subject);
            polkit.log("ok");
            return polkit.Result.YES;
        } else {
            return polkit.Result.NO;
        }
    }
});

现在只有相应的用户才能看到虚拟机本身。

享受

限制特定用户访问 KVM 虚拟机

答案1

答案2

单一密码

SASL 身份验证

x509 证书

答案3

相关内容